nginx拦截非法请求的关键是显式配置唯一default_server，使其在location匹配前立即响应444/403/404，避免冗余server_name匹配和后端转发；http/https端口须分别设置，禁用通配符，业务块须明确列出合法域名。
直接缩短“未知路径请求”的恶意匹配耗时，关键不在 location，而在 server 块的 default_server 选择逻辑本身——它决定了请求连进入 location 匹配前，是否被快速、确定地拦截或丢弃。优化的核心是：让非法请求（如 IP 直接访问、随机 Host 头、未声明域名）不经过冗余 server_name 匹配，而是被一个轻量、明确、无副作用的 default_server 立即响应或拒绝。
明确每个端口必须且仅有一个 default_server
默认情况下，Nginx 对同一 IP+端口组合，若未显式指定 default_server，会把该端口下第一个 server 块当作兜底。这极易导致本应拒掉的请求，意外落到某个带完整 server_name 和复杂 location 的业务块中，触发不必要的正则匹配、重写、甚至后端转发，显著增加处理延迟。
- HTTP（80端口）和 HTTPS（443端口）必须分别设置：
listen 80 default_server;和listen 443 ssl default_server; - 非标准端口（如 8080）同样需要显式标记：
listen 8080 default_server;，避免隐式 fallback - 所有其他 server 块在相同端口上，不能再出现 default_server 参数，否则配置校验失败
default_server 块只做三件事：返回 444、403 或最小化 404
这个块的目标是“零计算开销拦截”，而非提供服务。它不应包含 root、index、location 嵌套、proxy_pass、rewrite 或任何可能触发文件系统访问或正则引擎的操作。
- 最激进高效：返回 Nginx 特有的
444（关闭连接，不发任何响应体），CPU 和网络开销最低 - 合规友好：返回
403 Forbidden，并配一个极简的空响应体（return 403;） - 兼容兜底：返回
404 Not Found，但确保不加载任何静态文件（不要用root+try_files）
禁用通配符 server_name，杜绝模糊匹配链
多个 server 块共用 server_name _; 或留空，会使 Nginx 在 default_server 触发前，仍尝试对 Host 头做“最长前缀”或正则匹配，白白消耗 CPU。
- 业务 server 块必须写明具体域名：
server_name api.example.com admin.example.com; - default_server 块中，不要写 server_name（或明确写成
server_name "";），让它纯粹靠 listen + default_server 触发 - 彻底移除所有未使用的
server_name _;配置项，尤其避免在多个块中重复出现
验证监听地址粒度，避免隐式 0.0.0.0 冲突
如果 default_server 绑定的是 listen 80;（等价于 listen 0.0.0.0:80;），而另一个业务块用了 listen 192.168.1.10:80;，那么发往 192.168.1.10 的请求会命中后者；但发往其他 IP 的请求才会落到 default_server。这种“IP 级分流”本身是合理的，但需确认你的 default_server 是否真的覆盖了所有预期的非法入口。
- 若服务器有多个公网 IP，建议 default_server 显式监听
listen *:80 default_server;或listen 0.0.0.0:80 default_server; - 检查是否误配了
listen [::]:80（IPv6）而没配 IPv4 的 default_server，导致部分请求漏过 - 用
nginx -t和nginx -T（输出全部生效配置）确认最终解析出的 default_server 是否唯一、无歧义
